Apache Traffic Server: Umgehung der Client-Zertifikatsprüfung bei TLS-Resumption
Zusammenfassung
Apache Traffic Server kann eine TLS-Session über SNI-Virtual-Hosts wieder aufnehmen, ohne das Client-Zertifikat erneut zu prüfen, das die Richtlinie verify_client STRICT des wieder aufgenommenen Hosts verlangt. Ein nicht authentifizierter Angreifer aus dem Netz kann damit möglicherweise auf Hostnamen zugreifen, die Client-Zertifikate verlangen, mit einer hohen Auswirkung auf Vertraulichkeit und Integrität. Das Problem betrifft nur Installationen, bei denen eine ATS-Instanz Hostnamen mit unterschiedlichen Anforderungen an Client-Zertifikate bedient, etwa über sni.yaml.
Betroffen
- Apache Traffic Server 8.0.0 bis 8.1.11
- Apache Traffic Server 9.0.0 bis 9.2.15
- Apache Traffic Server 10.0.0 bis 10.1.4
- Apache Traffic Server 10.2.0
Behoben in
- 9.2.16
- 10.1.5
- 10.2.1
- Für die 8.x-Linie nennt der Hersteller keinen Fix. Unbekannt.
Umgehung
- Unbekannt. Der Hersteller dokumentiert keinen Workaround.
- Die Einschränkung der Session-Wiederaufnahme auf Hosts, die Client-Zertifikate verlangen, ist ein ungeprüfter Vorschlag und keine Empfehlung des Herstellers.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt. In den geprüften Quellen nicht als aktiv ausgenutzt gelistet.
- VulDB gibt an, dass kein Exploit verfügbar ist. Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob Apache Traffic Server im Einsatz ist, auch in Appliances und vom Hersteller mitgelieferten Proxys.
- Prüfen Sie Version, die Konfiguration sni.yaml und ob die Instanz aus dem Internet erreichbar ist.
- Aktualisieren Sie 9.x auf 9.2.16, 10.1.x auf 10.1.5 und 10.2.x auf 10.2.1 oder neuer.
- Planen Sie die Migration weg von 8.x, da für diese Linie kein Fix genannt wird.
- Beachten Sie die abweichenden Schweregrade: CVSS 4.0 7.8 (NVD/CNA), CVSS 3.1 10.0 (Ubuntu), 3.7 (VulDB). Priorisieren Sie nach Exposition.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list announcement lists.apache.org
- Apache Traffic Server security advisory 2026-10 trafficserver.apache.org
- Ubuntu CVE record ubuntu.com
- VulDB entry vuldb.com
- CVE Threat Intelligence record cve.threatint.com
- Rescana security release summary www.rescana.com
- OpenCVE record app.opencve.io
- HOL Guard CVE summary hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.